令和元年度秋期 情報処理安全確保支援士 午前Ⅱ 問1

午前II 問01：FIDO UAFは“本人確認は端末で、サーバには署名だけ”がポイントだよ

FIDO UAFでは、利用者はスマホなどの端末の中で顔認証や指紋認証を行うよ。イメージとしては、端末が“この人は本人だね”と確認してから、端末内に保管している秘密鍵でディジタル署名を作る感じだね。認証サーバへ送るのはその署名であって、顔や指紋などの生体情報そのものを送るわけではないよ。

この問題で問われていること

この問題では、FIDO UAFがワンタイムパスワードを送る仕組みでも、利用者の証明書そのものを送る仕組みでもなく、公開鍵暗号を使って“端末内の秘密鍵で署名し、サーバ側が公開鍵で確認する”認証モデルだと理解できているかを見ているよ。

FIDO UAF の認証

生体情報は端末内で照合し、サーバへ送るのは秘密鍵で作った署名です。

端末内で生体認証\n-> 秘密鍵で署名\n-> 署名をサーバ送信

確認ポイント

• 生体情報そのものをサーバへ送る説明は避ける。
• OTP 送信方式ではありません。
• スマートフォン内秘密鍵で署名する説明を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。PINコードとワンタイムパスワードをサーバへ送る方式は、よくある多要素認証だけど、FIDO UAFの特徴である「端末内の秘密鍵で署名して認証する」流れではないんだ。たとえるなら、毎回合言葉を書いて窓口に渡す方式で、FIDOのように手元の専用ハンコで証明する方式とは違うよ。

選択肢イ（正解）

これは正解だよ。FIDO UAFは、スマホの中で本人確認をして、外には指紋や顔そのものを出さず、スマホ内の秘密鍵で作ったディジタル署名を送る仕組みなんだ。たとえるなら、窓口に顔写真そのものを渡すのではなく、「本人確認済みです」という封印付きの証明だけを渡す感じだよ。

選択肢ウ

これは不正解だよ。クライアント証明書をカードから読み取って送るのは証明書ベースの認証で、FIDO UAFの典型的な流れではないんだ。FIDO UAFでは、本人確認後に端末内の秘密鍵で署名を作り、サーバは公開鍵で確認するよ。たとえるなら、身分証カードを見せる方式と、手元の専用ハンコでその場の書類に押印して証明する方式の違いだよ。

選択肢エ

これは不正解だよ。指紋情報そのものを認証サーバへ送っている点がFIDO UAFらしくないんだ。FIDOでは、指紋や顔はスマホの中で確認するだけで、外には出さないのが大事。たとえるなら、金庫の暗証番号を窓口に教えるのではなく、金庫の中で確認してから合格印だけ出すイメージだよ。